Katalog podatności CVE

W Apache ZooKeeper w wersjach 3.8.5 i 3.9.4 stwierdzono nieprawidłowe przetwarzanie wartości konfiguracyjnych w ZKConfig. Umożliwia to atakującemu ujawnienie poufnych informacji przechowywanych w konfiguracji klienta w pliku dziennika klienta. Wartości konfiguracyjne są ujawniane na poziomie logowania INFO, co naraża potencjalne systemy produkcyjne na to zagrożenie.

W Apache ZooKeeper weryfikacja nazwy hosta w ZKTrustManager wraca do odwrotnego DNS (PTR), gdy walidacja IP SAN zawiedzie, co pozwala atakującym kontrolującym lub fałszującym rekordy PTR podszywać się pod serwery lub klientów ZooKeeper z ważnym certyfikatem dla nazwy PTR. Atak wymaga przedstawienia certyfikatu zaufanego przez ZKTrustManager, co utrudnia jego wykorzystanie.

Wtyczka WP App Bar dla WordPressa jest podatna na przechowywane ataki Cross-Site Scripting (XSS) poprzez parametr 'app-bar-features' we wszystkich wersjach do 1.5 włącznie. Problem wynika z niewystarczającej sanitizacji danych wejściowych oraz braku odpowiednich kontroli autoryzacji w konstruktorze klasy `App_Bar_Settings`.

Wtyczka Meta Box dla WordPressa jest podatna na nieautoryzowane usuwanie plików z powodu niewystarczającej walidacji ścieżek plików w funkcji 'ajax_delete_file' we wszystkich wersjach do 5.11.1 włącznie. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie Contributor i wyżej usuwanie dowolnych plików na serwerze.

Wallos to otwartoźródłowy, samodzielnie hostowany tracker subskrypcji. Przed wersją 4.6.2 występowała podatność na fałszywe żądania serwerowe w testerach powiadomień, która została naprawiona w wersji 4.6.2.

Wallos to otwartoźródłowy, samodzielnie hostowany tracker subskrypcji osobistych. Przed wersją 4.6.2 parametr url mógł być użyty do pobierania lokalnych plików systemowych. Problem ten został naprawiony w wersji 4.6.2.

express-rate-limit to podstawowe oprogramowanie do ograniczania liczby żądań dla Express. W wersjach od 8.0.0 do 8.0.2, 8.1.1, 8.2.2 i 8.3.0, domyślny generator kluczy stosuje maskowanie podsieci IPv6 (/56 domyślnie) do wszystkich adresów, które net.isIPv6() zwraca jako prawdziwe, co prowadzi do problemów z ograniczaniem liczby żądań dla klientów IPv4.

Flowise to interfejs użytkownika typu 'przeciągnij i upuść' do budowy dostosowanych przepływów modeli językowych. Przed wersją 3.0.13 występowała podatność IDOR, która mogła prowadzić do przejęcia konta oraz obejścia funkcji dla przedsiębiorstw poprzez konfigurację SSO. Problem został naprawiony w wersji 3.0.13.

Wtyczka Paid Videochat Turnkey Site – HTML5 PPV Live Webcams dla WordPress jest podatna na eskalację uprawnień we wszystkich wersjach do 7.3.20 włącznie. Problem wynika z funkcji videowhisper_register_form(), która nie ogranicza ról użytkowników, które mogą być ustawiane podczas rejestracji.

Flowise to interfejs użytkownika typu drag & drop do budowania dostosowanych przepływów modeli językowych. Przed wersją 3.0.13, nieautoryzowani użytkownicy mogli wstrzykiwać dowolne wartości do pól bazy danych podczas tworzenia leadów. Problem został naprawiony w wersji 3.0.13.

Flowise to interfejs typu drag & drop do budowania dostosowanych przepływów modeli językowych. W wersjach przed 3.0.13, Flowise ufał każdemu klientowi HTTP, który ustawił nagłówek x-request-from: internal, co pozwalało na ominięcie wszystkich kontroli autoryzacji w /api/v1/** dla uwierzytelnionych sesji najemców.

Wtyczka Easy PHP Settings dla WordPressa jest podatna na wstrzyknięcie kodu PHP we wszystkich wersjach do i włącznie z 1.0.4 poprzez metodę `update_wp_memory_constants()`. Problem wynika z niewystarczającej walidacji danych wejściowych dla ustawień `wp_memory_limit` i `wp_max_memory_limit` przed zapisaniem ich do `wp-config.php`.

Wtyczka JS Archive List dla WordPressa jest podatna na wstrzyknięcie obiektów PHP we wszystkich wersjach do 6.1.7 włącznie, poprzez atrybut shortcode 'included'. Problem wynika z deserializacji niezaufanych danych wejściowych dostarczonych przez parametr 'included' w shortcode wtyczki.

Wtyczka ZIP Code Based Content Protection dla WordPressa jest podatna na atak typu SQL Injection we wszystkich wersjach do i włącznie z 1.0.2 poprzez parametr 'zipcode'. Problem wynika z niewystarczającego zabezpieczenia dostarczonego przez użytkownika oraz braku odpowiedniego przygotowania istniejącego zapytania SQL.

Oprogramowanie układowe przełącznika sieciowego XikeStor SKS8310-8X w wersjach 1.04.B07 i wcześniejszych zawiera lukę związaną z brakiem uwierzytelnienia w punkcie końcowym /switch_config.src. Umożliwia to nieautoryzowanym zdalnym atakującym pobieranie plików konfiguracyjnych urządzenia.

Plane to narzędzie do zarządzania projektami typu open-source. Przed wersją 1.2.2, nieautoryzowani atakujący mogli enumerować członków przestrzeni roboczej i wydobywać wrażliwe informacje, takie jak adresy e-mail, role użytkowników oraz identyfikatory wewnętrzne.

Plane to narzędzie do zarządzania projektami typu open-source. W wersjach przed 1.2.3 walidacja adresów URL webhooków w pliku plane/app/serializers/webhook.py sprawdzała jedynie, czy adres jest adresem lokalnym, co pozwalało atakującym z rolą ADMIN w przestrzeni roboczej na tworzenie webhooków wskazujących na prywatne/adresy wewnętrzne.

Mercurius to adapter GraphQL dla Fastify. W wersjach przed 16.8.0, Mercurius nie egzekwował limitu głębokości zapytań dla subskrypcji GraphQL otrzymywanych przez połączenia WebSocket, co pozwalało na przesyłanie głęboko zagnieżdżonych zapytań subskrypcyjnych.

Podczas weryfikacji łańcucha certyfikatów zawierającego certyfikat z wieloma ograniczeniami adresów email, które mają wspólne części lokalne ale różne domeny, ograniczenia te nie są prawidłowo stosowane – uwzględniane jest tylko ostatnie ograniczenie.

Funkcja url.Parse w Go niewystarczająco weryfikuje komponent host/authority i akceptuje niektóre nieprawidłowe adresy URL.